第4章 生成樹協(xié)議與端口安全綜述

第4章生成樹協(xié)議與端口安全4.1生成樹協(xié)議

4.1.1生成樹協(xié)議的作用

功能強(qiáng)大、可靠的網(wǎng)絡(luò)需要有效地傳輸流量，提供冗余和故障的快速恢復(fù)功能。在第2層網(wǎng)絡(luò)中，路由協(xié)議不可用，生成樹協(xié)議通過(guò)從軟件層面修改網(wǎng)絡(luò)物理拓?fù)浣Y(jié)構(gòu)來(lái)構(gòu)建一個(gè)無(wú)環(huán)路邏輯轉(zhuǎn)發(fā)拓?fù)浣Y(jié)構(gòu)，提供了物理線路的冗余連接，消除了網(wǎng)絡(luò)風(fēng)暴，從而提高網(wǎng)絡(luò)的穩(wěn)定性和減少網(wǎng)絡(luò)故障的發(fā)生率。

4.1生成樹協(xié)議4.1.2生成樹協(xié)議的原理1．生成樹協(xié)議的工作過(guò)程

２．根網(wǎng)橋的選擇

３．根端口的選擇

４．指定端口的選擇

５．刪除橋接環(huán)

6．生成樹協(xié)議的端口狀態(tài)

4.1生成樹協(xié)議4.1.3快速生成樹協(xié)議改進(jìn)1：為根端口和指定端口設(shè)置了快速切換用的替換端口（AlternatePort）和備份端口（BackupPort）兩種角色，當(dāng)根端口/指定端口失效的情況下，替換端口/備份端口就會(huì)無(wú)時(shí)延地進(jìn)入轉(zhuǎn)發(fā)狀態(tài)改進(jìn)2：在只連接了兩個(gè)交換端口的點(diǎn)對(duì)點(diǎn)鏈路中，指定端口只需與下游網(wǎng)橋進(jìn)行一次握手就可以無(wú)時(shí)延地進(jìn)入轉(zhuǎn)發(fā)狀態(tài)

改進(jìn)3：直接與終端相連而不是把其他網(wǎng)橋相連的端口定義為邊緣端口（EdgePort）。邊緣端口可以直接進(jìn)入轉(zhuǎn)發(fā)狀態(tài)，不需要任何延時(shí).4.1生成樹協(xié)議4.1.4

VLAN快速生成樹協(xié)議每個(gè)VLAN都生成一棵樹是一種比較直接，而且最簡(jiǎn)單的解決方法，能夠保證每一個(gè)VLAN都不存在環(huán)路4.1.5多實(shí)例生成樹協(xié)議多實(shí)例生成樹協(xié)議是基于實(shí)例的，所謂實(shí)例就是多個(gè)VLAN的一個(gè)集合，通過(guò)多個(gè)VLAN捆綁到一個(gè)實(shí)例中去的方法可以節(jié)省通信開(kāi)銷和資源占用率。4.1生成樹協(xié)議4.1.6生成樹協(xié)議的配置Sw_3550(config)#［no］spanning-tree[vlan

vlan]Sw_3550(config)#spanning-treevlan

vlanpriority0Sw_3550(config)#spanning-treepathcostmethod{long|short}Sw_3550(config-if)#spanning-treeguard{root|none}Sw_3550(config-if)#spanning-treeport-priorityport-prioritySw_3550(config-if)#spanning-treevlan

vlan-listport-prioritypriority4.1生成樹協(xié)議Sw_3550(config)#spanning-treevlan

vlan

forward-timedelay

Sw_3550(config)#spanning-treevlan

vlanhello-timeintervalSw_3550(config)#spanning-treevlan

vlanmax-ageagingtimeSw_3550(config)#spanning-treeportfastSw_3550(config)#spanning-treeportfast

bpduguard

Sw_3550(config)#spanning-treeportfast

bpdufilter

Sw_3550(config)#spanning-treeuplinkfast[max-update-ratepackets-per-second]4.1生成樹協(xié)議Sw_3550(config)#spanning-treebackbonefast

Sw_3550#showspanning-tree[active[detail]]Sw_3550#showspanning-tree[backbonefast|blockedports|interface|pathcostmethod|summary[totals]|uplinkfast]Sw_3550#showspanning-tree[root[address|cost|detail|forward-time|hello-time|id|max-age|port|prioritysystem-id]|vlan

vlan_list[active[detail]|blockedports|bridge[address|detail|forward-time|hello-time|id|max-age|priority|protocol]|detail[active]|inconsistentports|summary]]4.1.7生成樹協(xié)議實(shí)例4.1.8生成樹協(xié)議總結(jié)4.1生成樹協(xié)議4.2端口安全

4.2.1端口安全的作用端口安全功能是通過(guò)對(duì)MAC地址表的配置，來(lái)實(shí)現(xiàn)在某一端口只允許一臺(tái)或者幾臺(tái)確定的設(shè)備訪問(wèn)此臺(tái)交換機(jī)端口。從而減少交換機(jī)被黑客攻擊，增強(qiáng)交換機(jī)的安全性，提高局域網(wǎng)的安全性。4.2端口安全

4.2.1端口安全的原理

⑴交換機(jī)在重新啟動(dòng)或手工清除MAC地址表后，MAC地址表沒(méi)有任何MAC地址的記錄。如圖所示。

4.2端口安全⑵假設(shè)主機(jī)A向主機(jī)C發(fā)送數(shù)據(jù)包，因?yàn)楝F(xiàn)在MAC地址表為空，所以端口E0將從數(shù)據(jù)包中提取源MAC地址，將此MAC地址記錄到MAC地址表中，同時(shí)向其它所有的端口發(fā)送此數(shù)據(jù)包，如果某一主機(jī)在接收到此數(shù)據(jù)包后，將提取目標(biāo)MAC地址，并與自己網(wǎng)卡的MAC地址進(jìn)行比較，如果相等，則接收此數(shù)據(jù)包；否則丟棄此數(shù)據(jù)包。如圖所示。4.2端口安全⑶如果主機(jī)A、B、C、D都已經(jīng)向其它主機(jī)發(fā)送數(shù)據(jù)包，則MAC地址表將會(huì)有4條記錄。如圖所示。

4.2端口安全⑷現(xiàn)在假設(shè)主機(jī)A向主機(jī)C發(fā)送數(shù)據(jù)包，交換機(jī)會(huì)提取數(shù)據(jù)包的目的MAC地址，通過(guò)查找MAC地址表，有一條記錄的MAC地址與目的MAC地址相等，而且知道此目的MAC所對(duì)應(yīng)的端口為E2，此時(shí)E0端口會(huì)將數(shù)據(jù)包直接轉(zhuǎn)發(fā)到E2端口，如圖所示。

4.2端口安全4.2.2端口安全的配置

sw_3550(config_if)#switchportport-securitysw_3550(config_if)#

switchportport-securitymaximum

valuesw_3550(config_if)#

switchportport-securitymac-address

mac-address